பாதிப்புகளும் வெகுமதிகளும்

கண்டறியப்பட்ட பாதிப்புகள் அல்லது பாதுகாப்பு தொடர்பான சிக்கல்களுக்கு நாங்கள் வெகுமதி வழங்குகிறோம். வெகுமதி பெற பின்வருவன உண்மையாக இருக்க வேண்டும்.

#1 பாதிப்பு தனித்துவமானதாக இருக்க வேண்டும் 
பல அறிக்கைகள் கிடைத்தால், முதலில் தெரிவித்தவருக்கு வெகுமதி கிடைக்கும். எதிர்காலத்தில் பாதிப்புகளைக் கண்டறிய ஊக்குவிக்க, எங்கள் விருப்பப்படி, இரண்டாம் நிலை அறிவிப்புக் கட்டணமாக சிறிய தொகையை வழங்கலாம்.

#2 பாதிப்பை மீண்டும் உருவாக்க முடிய வேண்டும்
மீண்டும் உருவாக்க முடியாத எந்தப் பாதிப்புக்கும் நாங்கள் பணம் வழங்க மாட்டோம். மீண்டும் உருவாக்க முடியாத பாதிப்பைக் காட்டும் YouTube வீடியோக்களுக்கும் வெகுமதி வழங்க மாட்டோம்.

#3 தாக்குதல் சூழ்நிலை இருக்க வேண்டும்
தாக்குதல் எங்கள் அமைப்புகள் வழியாகப் பரவும் திறன் கொண்டிருக்க வேண்டும். பரவும் திறனை விளக்கவும். எடுத்துக்காட்டாக, எங்கள் API-ஐப் பயன்படுத்தி தீங்கிழைக்கும் ஸ்கிரிப்ட்களை எழுதுவது கணக்கில் கொள்ளப்படாது; ஏனெனில் அது தீங்கிழைக்கும் ஸ்கிரிப்ட்களுடன் ஒரு பக்கத்தை எழுதுவதிலிருந்து வேறுபட்டதல்ல.
 

வெகுமதித் தொகைகள் எவ்வாறு தீர்மானிக்கப்படுகின்றன

மேலே உள்ள ஒவ்வொரு வகைக்கும் ஒரு வெகுமதி வரம்பு உள்ளது. செல்லுபடியாகும் அறிக்கை அந்த வரம்பிற்குள் எங்கு வருகிறது என்பது மூன்று காரணிகளைப் பொறுத்தது:

பாதிப்பைப் பயன்படுத்த தேவையான சலுகை. அங்கீகாரம் தேவையில்லாத பிழைகள் வரம்பின் உச்சத்தில் வரும். அங்கீகரிக்கப்பட்ட பயனர் தேவைப்படும் பிழைகள் நடுவில் வரும். சலுகை பெற்ற சூழல் (குழு நிர்வாகி, குழு உரிமையாளர், கட்டணத் திட்டம், உள் ஊழியர்) தேவைப்படும் பிழைகள் கீழே வரும்.

தாக்கத்தின் பரப்பு. ஒவ்வொரு பயனரையும் அல்லது ஒவ்வொரு வரைபடத்தையும் பாதிக்கும் பாதிப்புகள், தாக்குபவர் ஏற்கனவே உறுப்பினராக உள்ள ஒரு கணக்கை அல்லது ஒரு குழுவை மட்டும் பாதிக்கும் பாதிப்புகளை விட அதிகம் வெகுமதி பெறும்.

மீளக்கூடிய தன்மை. பாதிக்கப்பட்ட பயனர் சாதாரண நடைமுறைகள் மூலம் (எடுத்துக்காட்டாக, கடவுச்சொல் மீட்டமைப்பு) சரிசெய்யக்கூடிய சேதம் குறைவான வெகுமதி பெறும்; நீடிக்கும் அல்லது எங்கள் தலையீடு தேவைப்படும் சேதம் அதிகம் பெறும்.

அறிக்கையின் தரமும் கணக்கில் கொள்ளப்படும். செயல்படும் proof of concept, மூல காரணப் பகுப்பாய்வு மற்றும் தீர்வுப் பரிந்துரையுடன் கூடிய தெளிவான அறிக்கை, தொழில்நுட்பத் தாக்கம் மட்டும் நடுத்தர அளவில் இருந்தாலும் வரம்பின் உச்சத்தைப் பெறலாம். கவனக்குறைவான அல்லது ஊகத்தின் அடிப்படையிலான அறிக்கைகள் கீழ் எல்லையைப் பெறலாம்.

வரம்பிற்கு வெளியே உள்ளவை

பின்வருவன வெகுமதிக்குத் தகுதியற்றவை:

அநாமதேய சமூக வரைபடங்கள். உரிமையாளர் இல்லாத, யாராலும் திருத்தக்கூடிய வரைபடங்கள் நீண்டகால சமூக அம்சமாகும். அநாமதேய வரைபடத்தின் மேல் சேமிப்பது பாதிப்பு அல்ல.

பட்டியலிடப்படாதது (URL-ஏ சான்று) வரைபடங்கள். LockView இல்லாத வரைபடங்கள், பட்டியலிடப்படாத YouTube வீடியோவைப் போலவே, URL தெரிந்த எவருக்கும் வேண்டுமென்றே அணுகக்கூடியவை. வரைபடக் குறியீட்டை அறிந்து அத்தகைய வரைபடத்தை அணுகுவது அல்லது சேமிப்பது வடிவமைப்பின்படியே.

நாங்கள் ஹோஸ்ட் செய்யும் ஆனால் பராமரிக்காத மூன்றாம் தரப்பு மென்பொருள். எங்கள் சேவைகளுடன் பயன்படுத்தப்படும் GeoServer, Tomcat அல்லது பிற மூன்றாம் தரப்பு அடுக்குகளில் உள்ள சிக்கல்கள். இவற்றை அந்தந்த மூல பராமரிப்பாளர்களிடம் தெரிவிக்கவும்.

உறுதியான தாக்குதல் சூழ்நிலை இல்லாத பாதுகாப்பு ஹெடர்கள் இல்லாமை. செயல்படும் exploit இல்லாமல் CSP, X-Frame-Options, HSTS போன்றவை குறித்த அறிக்கைகள் தகுதியற்றவை.

தனியாக விகித வரம்பு. விகித வரம்பு பாதுகாப்புக்கு முக்கியமில்லாத endpoint-களில், துஷ்பிரயோகச் சூழ்நிலை நிரூபிக்கப்படாமல், விகித வரம்பு இல்லாமை.

AI பயன்பாடு

பரிசீலனைக்கான ஆரம்பச் சரிபார்ப்புக்கு நாங்கள் AI-ஐப் பயன்படுத்துகிறோம். அது சில சமயங்களில் தவறு செய்கிறது; ஒவ்வொன்றையும் மனிதர்கள் மதிப்பாய்வு செய்கிறோம். இருப்பினும், AI ஆரம்பத்தில் பெரிய தவறு செய்துவிட்டதாக நீங்கள் நினைத்தால், கூடுதல் சூழல் போன்றவற்றுடன் சமர்ப்பிப்பில் ஒரு குறிப்பைச் சேர்க்கவும்..compromise any

Burp பயன்பாடு / Endpoint-கள்

விரைவு ஸ்கேன்களுக்கு நாங்கள் burp போன்ற கருவிகளைப் பயன்படுத்துகிறோம். ஆயிரக்கணக்கான கோரிக்கைகளால் தாக்குவது எங்கள் சேவையகங்களுக்கு தேவையற்ற சுமையை ஏற்படுத்துவதால், இந்த ஸ்கேன்களை எங்கள் மீது செய்ய வேண்டாம் என்று பொதுவாக விரும்புகிறோம். 

உங்கள் நேரத்தைச் சேமிக்க, சில endpoint-கள் இதோ: 

https://www.scribblemaps.com/ 
(நீங்கள் ஸ்கேன் செய்தால் /maps/ பாதையைத் தடுக்கவும்; இல்லையெனில் ஸ்கேனர்கள் முடிவில்லாத சுழலில் சிக்கும்) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

கட்டணங்கள்

கட்டணக் காலக்கெடு குறித்து எந்த உத்தரவாதமும் இல்லை. நாங்கள் மாதாந்திர நிதி ஒதுக்குகிறோம்; தீவிரமான சிக்கல்களுக்கு எப்போதும் முதலில் பணம் வழங்கப்படும். கட்டணங்களை wise அல்லது paypal வழியாக மட்டுமே செய்கிறோம்.
 

வெகுமதி இழப்பு

அறிக்கையைச் சரிபார்ப்பது அல்லது ஏற்றுக்கொள்வது வெகுமதிக்கான தகுதியை நிறுவுகிறது, நிபந்தனையற்ற உரிமையை அல்ல. ஆராய்ச்சியாளரின் நடத்தை இந்த விதிமுறைகளை அல்லது நல்லெண்ண ஒருங்கிணைந்த வெளிப்படுத்தலின் கொள்கைகளை மீறினால், ScribbleMaps வெகுமதியை முழுமையாகவோ பகுதியாகவோ குறைக்கலாம் அல்லது நிறுத்தி வைக்கலாம். வெகுமதி இழப்பு ScribbleMaps-இன் விருப்பத்திற்கு உட்பட்டது; காரணம் அறிக்கையில் பதிவு செய்யப்பட்டு ஆராய்ச்சியாளருக்குத் தெரிவிக்கப்படும்.

வழக்கமாக வழங்கப்பட வேண்டிய வெகுமதி பின்வரும் எதற்காகவும் இழக்கப்படலாம்:

1. முன்கூட்டிய அல்லது அச்சுறுத்தப்பட்ட பொது வெளிப்படுத்தல். ScribbleMaps சிக்கலைச் சரிசெய்து வெளிப்படுத்த அங்கீகரிப்பதற்கு முன்பு, பாதிப்பைப் பொதுவில், மூன்றாம் தரப்பினரிடம் அல்லது ஊடக/சமூக வலைத்தளங்கள் வழியாக வெளிப்படுத்துவது — அல்லது வெளிப்படுத்துவதாக அச்சுறுத்துவது. ஒருங்கிணைந்த வெளிப்படுத்தல் இத்திட்டத்தின் நிபந்தனையாகும்.
2. மிரட்டல், பணம் பறித்தல் அல்லது துன்புறுத்தல். பணம் செலுத்தினால் மட்டுமே வெளிப்படுத்தாமல் இருப்போம் என நிபந்தனை விதிப்பது; ஊழியர்களை அச்சுறுத்துவது அல்லது அழுத்தம் கொடுப்பது; அல்லது ஆதரவு, கட்டணம் அல்லது அறிக்கையாளர் வழிகளைப் பயன்படுத்தி மீண்டும் மீண்டும் அல்லது அத்துமீறி பணம் கோருவது. வெகுமதி நிலை குறித்த கேள்விகளை bounty போர்ட்டல் வழியாக எழுப்ப வேண்டும்; ScribbleMaps அதற்குப் பதிலளிக்கும்.
3. பல அல்லது போலி அடையாளங்கள். ஒன்றுக்கு மேற்பட்ட ஆராய்ச்சியாளர் கணக்குகளை இயக்குவது, அல்லது சமர்ப்பிப்பு எண்ணிக்கையையோ வெகுமதிகளையோ உயர்த்த தனித்தனி கணக்குகளின் வெகுமதிகளை ஒரே கட்டண முகவரிக்கு அனுப்புவது.
4. கூட்டுச்சதி அல்லது உருவாக்கப்பட்ட கண்டுபிடிப்புகள். கணக்குகளிடையே சமர்ப்பிப்புகளை ஒருங்கிணைப்பது, proof of concept-இல் மற்றொரு பங்கேற்பாளரின் கணக்கை அல்லது வரைபடங்களை “பாதிக்கப்பட்டவராக” பயன்படுத்துவது, அல்லது தயாரிப்பால் உருவாக்க முடியாத தரவு நிலையை உருவாக்கி அதன் விளைவான தரவை கசிவாகக் குறிப்பிடுவது.
5. குறைந்த முயற்சி அல்லது தானியங்கி ஸ்பேம். ScribbleMaps-க்கே உரிய, நிரூபிக்கப்பட்ட exploit இல்லாமல், தானியங்கி ஸ்கேனர் வெளியீடு, காலாவதியான நூலகம்/CVE பட்டியல்கள் அல்லது அறியப்பட்ட வரம்பிற்கு வெளியே உள்ள விஷயங்களை (வரம்பிற்கு வெளியே உள்ளவை பகுதியைப் பார்க்கவும்) மொத்தம் மொத்தமாகச் சமர்ப்பிப்பது.
6. தீங்கு விளைவிக்கும் அல்லது சட்டவிரோத சோதனை. சிக்கலை நிரூபிக்கத் தேவையான குறைந்தபட்ச அளவை மீறி பிற பயனர்களின் தரவை அணுகுவது, மாற்றுவது அல்லது வெளியே எடுப்பது; சேவையைச் சீரழிப்பது அல்லது மறுப்பது; ஊழியர்கள் அல்லது பயனர்களிடம் சமூகப் பொறியியல் செய்வது; அல்லது திட்ட வரம்பு அல்லது பொருந்தும் சட்டத்தால் தடைசெய்யப்பட்ட எந்தச் செயலும்.
7. தவறாகச் சித்தரித்தல் அல்லது மோசடி. மீண்டும் உருவாக்கும் படிகள், ஆதாரங்கள், கண்டறிந்த தேதிகள் அல்லது அடையாளத்தைப் பொய்யாக்குவது.

குறிப்புகள்.

• வெகுமதி இழப்பு பகுதியாகவும் (குறைக்கப்பட்ட வெகுமதி) அல்லது முழுமையாகவும் ($0) இருக்கலாம்.
• தவறான நடத்தைக்காக வெகுமதி இழக்கப்பட்ட சரிபார்க்கப்பட்ட அறிக்கை, அதே கண்டுபிடிப்புக்கு மீண்டும் தகுதி பெறாது.
• இந்த விதிமுறைகள் சமர்ப்பித்த தருணத்திலிருந்து பொருந்தும்; அறிக்கை ஏற்கப்படும்போது அனுப்பப்படும் ஏற்பு அறிவிப்பிலும் இவை மீண்டும் குறிப்பிடப்படும்.

அறிக்கையைச் சமர்ப்பிக்க

தயவுசெய்து பார்வையிடவும்: https://api.scribblemaps.com/vulnerabilities

AI வழியாக அறிக்கைகளைச் சமர்ப்பிப்பதற்கான வழிமுறைகளும் இந்தத் தளத்தில் உள்ளன. அறிக்கையைச் சமர்ப்பிக்க நீங்கள் உள்நுழைய வேண்டும்.

சட்டக் குறிப்புகள்

தடைப் பட்டியல்களில் உள்ள நபர்களுக்கு, அல்லது தடைப் பட்டியல்களில் உள்ள நாடுகளில் (எ.கா. கியூபா, ஈரான், வட கொரியா, சூடான் மற்றும் சிரியா) உள்ளவர்களுக்கு எங்களால் வெகுமதி வழங்க இயலாது. உங்கள் வசிப்பிட நாடு மற்றும் குடியுரிமையைப் பொறுத்து வரி தொடர்பான விளைவுகளுக்கு நீங்களே பொறுப்பு. உங்கள் உள்ளூர் சட்டத்தைப் பொறுத்து, பங்கேற்பதில் கூடுதல் கட்டுப்பாடுகள் இருக்கலாம்.

இது போட்டி அல்ல; மாறாக ஒரு சோதனை அடிப்படையிலான, விருப்பத்திற்குட்பட்ட வெகுமதித் திட்டம். நாங்கள் எந்த நேரத்திலும் இத்திட்டத்தை ரத்து செய்யலாம் என்பதையும், வெகுமதி வழங்குவதா இல்லையா என்ற முடிவு முழுக்க எங்கள் விருப்பத்திற்கு உட்பட்டது என்பதையும் நீங்கள் புரிந்துகொள்ள வேண்டும்.

நிச்சயமாக, உங்கள் சோதனை எந்தச் சட்டத்தையும் மீறக்கூடாது, அல்லது உங்களுடையது அல்லாத எந்தத் தரவையும் சீர்குலைக்கவோ பாதிக்கவோ கூடாது.